Hotărârea Curții (Marea Cameră) din 10 februarie 2026.#WhatsApp Ireland Ltd împotriva Comitetului European pentru Protecția Datelor.#Recurs – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 63 – Mecanismul pentru asigurarea coerenței – Articolul 65 – Soluționarea litigiilor de către Comitetul European pentru Protecția Datelor – Decizie obligatorie – Acțiune în anulare – Articolul 263 primul paragraf TFUE – Act atacabil – Articolul 263 al patrulea paragraf TFUE – Condiția potrivit căreia reclamantul trebuie să fie vizat în mod direct de măsura care face obiectul acțiunii sale.#Cauza C-97/23 P.

Cauza C‑97/23 P

WhatsApp Ireland Ltd

împotriva

Comitetului European pentru Protecția Datelor

Hotărârea Curții (Marea Cameră) din 10 februarie 2026

„Recurs – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 63 – Mecanismul pentru asigurarea coerenței – Articolul 65 – Soluționarea litigiilor de către Comitetul European pentru Protecția Datelor – Decizie obligatorie – Acțiune în anulare – Articolul 263 primul paragraf TFUE – Act atacabil – Articolul 263 al patrulea paragraf TFUE – Condiția potrivit căreia reclamantul trebuie să fie vizat în mod direct de măsura care face obiectul acțiunii sale”

Acțiune în anulare – Termene – Momentul de la care încep să curgă – Publicare sau notificare – Data la care s-a luat cunoștință de act – Caracter subsidiar – Publicare pe site‑ul internet al autorului actului

[art. 263 al șaselea paragraf TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (143) a treia teză și art. 65 alin. (5) a treia teză]

(a se vedea punctele 44-48)

Acțiune în anulare – Acte care pot face obiectul unei acțiuni în anulare – Noțiune – Acte care produc efecte juridice obligatorii față de terți – Decizie obligatorie a Comitetului European pentru Protecția Datelor referitoare la un litigiu între autoritățile de supraveghere – Decizie care constituie un act al unui organ al Uniunii Europene destinat să producă efecte juridice față de terți și care exprimă poziția sa definitivă – Act atacabil

[art. 263 primul paragraf TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 58, art. 60, art. 65 alin. (1) lit. (a), alin. (2) și alin. (6) și art. 68 alin. (1)]

(a se vedea punctele 64-78)

Acțiune în anulare – Persoane fizice sau juridice – Acte care le privesc direct și individual – Afectare directă – Criterii – Modificare gravă a situației juridice a reclamantului – Lipsa unei puteri de apreciere a destinatarilor actului – Decizie obligatorie a Comitetului European pentru Protecția Datelor referitoare la un litigiu între autoritățile de supraveghere – Decizie care are efecte directe asupra situației juridice a reclamantului – Decizie care nu lasă nicio putere de apreciere destinatarilor săi – Admisibilitate

[art. 263 al patrulea paragraf TFUE; Regulamentul nr. 2016/679 al Parlamentului European și al Consiliului, art. 56, art. 58, art. 60, art. 65, art. 70 alin. (1) lit. (a) și art. 83]

(a se vedea punctele 90-110 și 118)

Rezumat

Sesizată cu un recurs introdus de WhatsApp Ireland Ltd (denumită în continuare „WhatsApp”), Curtea, întrunită în Marea Cameră, anulează Ordonanța Tribunalului în cauza WhatsApp Ireland/Comitetul European pentru Protecția Datelor ( 1 ).

Curtea se pronunță, pentru prima dată, cu privire la căile de atac aflate la dispoziția unei întreprinderi în privința unei decizii obligatorii adoptate de Comitetul European pentru Protecția Datelor (denumit în continuare „Comitetul”) în temeiul Regulamentului general privind protecția datelor ( 2 ), în contextul mecanismului pentru asigurarea coerenței instituit prin respectivul regulament. În acest cadru, pronunțându‑se cu privire la condițiile de admisibilitate a acțiunii în anulare formulate de WhatsApp, Curtea precizează conținutul noțiunii de „act atacabil”, în temeiul articolului 263 primul paragraf TFUE, și al condiției potrivit căreia reclamantul trebuie să fie vizat în mod direct de măsura care face obiectul acțiunii sale, în temeiul articolului 263 al patrulea paragraf TFUE.

În urma intrării în vigoare a RGPD, Data Protection Commission (Autoritatea pentru Protecția Datelor, Irlanda, denumită în continuare „autoritatea irlandeză de supraveghere”) a primit din partea unor utilizatori și a unor neutilizatori ai serviciului de mesagerie „WhatsApp” plângeri privind prelucrarea datelor cu caracter personal de către această întreprindere. În acest context, autoritatea de supraveghere menționată, în calitatea sa de autoritate de supraveghere principală ( 3 ), a deschis o investigație privind respectarea de către WhatsApp a obligațiilor de transparență și de informare față de particulari prevăzute de RGPD.

La finalul acestei investigații, în cadrul cooperării instituite prin RGPD, autoritatea irlandeză de supraveghere a prezentat celorlalte autorități de supraveghere vizate de prelucrarea datelor cu caracter personal în cauză un proiect de decizie în vederea obținerii avizului lor. Întrucât nu s‑a ajuns la niciun consens în privința acestui proiect, autoritatea irlandeză de supraveghere a sesizat Comitetul pentru ca acesta să soluționeze litigiul dintre autoritățile de supraveghere în cauză ( 4 ). Acesta din urmă a adoptat, la 28 iulie 2021, Decizia obligatorie 1/2021 (denumită în continuare „decizia în litigiu”), în care a luat poziție cu privire la aspectele care au făcut obiectul unor obiecții relevante și motivate din partea unora dintre autoritățile de supraveghere în cauză. Pe baza acestei decizii obligatorii, referitoare printre altele la constatarea încălcării anumitor dispoziții din RGPD, la calificarea drept date cu caracter personal a unor date supuse unei comprimări cu pierdere, precum și la necesitatea de a majora cuantumul amenzilor preconizate în proiectul de decizie inițial, autoritatea irlandeză de supraveghere a adoptat, la 20 august 2021, o decizie finală. Această autoritate a constatat în decizia respectivă că WhatsApp a încălcat anumite dispoziții din RGPD și i‑a impus printre altele amenzi în cuantum cumulat de 225 de milioane de euro.

WhatsApp a atacat această decizie finală în fața unei instanțe irlandeze și a solicitat în paralel Tribunalului anularea deciziei în litigiu, în temeiul articolului 263 TFUE.

Prin ordonanța atacată, Tribunalul a respins acțiunea în anulare ca inadmisibilă. Deși a recunoscut că WhatsApp era vizată individual de decizia în litigiu, Tribunalul a statuat printre altele că această decizie nu constituia un act atacabil și că WhatsApp nu era vizată în mod direct de decizia menționată.

Aprecierea Curții

În primul rând, Curtea se pronunță cu privire la caracterul pretins tardiv al acțiunii în primă instanță, care a fost invocat de Comitet.

Ea amintește că, potrivit articolului 263 al șaselea paragraf TFUE, acțiunile în anulare trebuie formulate în termen de două luni, după caz, de la publicarea actului, de la notificarea acestuia reclamantului sau, în lipsă, de la data la care reclamantul a luat cunoștință de actul respectiv. Termenul de introducere a acțiunii în anulare începe să curgă în principal de la publicarea actului sau de la notificarea acestuia reclamantului, aceste două criterii principale fiind plasate pe picior de egalitate, în sensul că niciunul dintre aceste două criterii nu este subsidiar în raport cu celălalt. În schimb, criteriul datei luării la cunoștință a actului atacat prezintă un caracter subsidiar în raport cu cel al publicării sau al notificării acestui act.

Curtea arată că, în speță, decizia în litigiu nu a fost notificată WhatsApp, ci a făcut obiectul unei publicări pe site‑ul internet al Comitetului ( 5 ). În această privință, ea precizează că noțiunea de „publicare” nu vizează exclusiv o publicare în Jurnalul Oficial al Uniunii Europene, ci, dimpotrivă, trebuie interpretată în sens larg. Intră sub incidența acestei noțiuni printre altele o publicare pe site‑ul internet al unei instituții, al unui organ, al unui oficiu sau al unei agenții a Uniunii atunci când aceasta este prevăzută de dreptul derivat.

Prin urmare, termenul de introducere a acțiunii, care trebuia calculat de la publicarea deciziei în litigiu pe site‑ul internet al Comitetului, a fost respectat în speță.

În al doilea rând, Curtea aduce precizări cu privire la noțiunea de „act atacabil” în temeiul articolului 263 primul paragraf TFUE, potrivit căruia instanța Uniunii controlează printre altele legalitatea actelor organelor, oficiilor sau agențiilor Uniunii destinate să producă efecte juridice față de terți.

Curtea subliniază printre altele că caracterul atacabil al unui act trebuie apreciat în mod obiectiv, în funcție de conținutul acestuia, iar nu în funcție de reclamant. Așadar, terțul în privința căruia actul vizat produce efecte juridice nu trebuie să fie în mod necesar reclamantul. Astfel, are calitatea de terț orice persoană fizică sau juridică distinctă de autorul acestui act. Prin urmare, nu este necesar să se verifice dacă un act produce efecte de natură să afecteze situația juridică a reclamantului, respectiva verificare fiind relevantă numai în cadrul examinării respectării condițiilor prevăzute la articolul 263 al patrulea paragraf TFUE.

În plus, Curtea arată că, în prezența unor acte a căror elaborare se efectuează în mai multe etape procedurale, nu constituie în principiu un act atacabil decât măsura care stabilește definitiv poziția instituției, a organului, a oficiului sau a agenției competente a Uniunii, cu excluderea măsurilor intermediare al căror obiectiv este pregătirea acestei măsuri definitive și care nu produc efecte juridice autonome față de terți.

În ceea ce privește conținutul deciziei în litigiu, Curtea observă că această decizie este un act care emană de la un organ al Uniunii și care prezintă un caracter obligatoriu față de terți. Astfel, el este obligatoriu pentru autoritatea de supraveghere principală, care trebuie să adopte decizia sa finală pe baza respectivei decizii obligatorii, și pentru toate autoritățile de supraveghere vizate, care sunt destinatarii acestuia și care sunt terți în raport cu Comitetul.

În plus, în ceea ce privește contextul adoptării deciziei în litigiu, Curtea arată că, deși această decizie a fost elaborată în cadrul unui proces care implică mai multe etape procedurale și a precedat adoptarea unui alt act de către autoritatea irlandeză de supraveghere, decizia menționată stabilește totuși în mod definitiv poziția Comitetului și epuizează toate aspectele pe care acesta este chemat să le soluționeze.

Curtea concluzionează că, deși nu constituie ultima etapă a procedurii de control al coerenței prevăzute de RGPD, decizia în litigiu nu poate fi calificată drept măsură intermediară care nu poate face obiectul unei acțiuni.

Ea adaugă că, din moment ce decizia Comitetului produce efecte juridice obligatorii față de terți, sunt lipsite de relevanță împrejurările că domeniul de aplicare al deciziei finale a autorității naționale de supraveghere include aspecte care nu ar ține de sesizarea sau de competența Comitetului și că decizia în litigiu nu este opozabilă altor entități în afara destinatarilor săi, această din urmă împrejurare neraportându‑se nici la substanța deciziei în litigiu, nici la efectele sale juridice obligatorii din perspectiva unor criterii obiective.

Prin urmare, Curtea constată că decizia în litigiu constituie un act atacabil și că Tribunalul a săvârșit o eroare de drept, pe de o parte, prin efectuarea unei confuzii între cerințele care rezultă din primul și, respectiv, din al patrulea paragraf al articolului 263 TFUE și, pe de altă parte, prin formularea unui criteriu eronat, referitor la lipsa opozabilității directe a actului în cauză față de WhatsApp, și prin calificarea deciziei în litigiu drept măsură intermediară lipsită de efecte juridice autonome.

În al treilea și ultimul rând, Curtea amintește că admisibilitatea unei acțiuni introduse de o persoană fizică sau juridică împotriva unui act al cărui destinatar nu este această persoană, în temeiul articolului 263 al patrulea paragraf TFUE, este supusă în special condiției ca acest act să o privească direct și individual.

În această privință, Curtea precizează că lipsa opozabilității directe a actului atacat față de reclamant, precum și împrejurarea că acest act nu constituie ultima etapă a unei proceduri compozite nu se opun ca această parte să poată fi vizată în mod direct de actul menționat atunci când destinatarul aceluiași act nu dispune de nicio putere de apreciere. În consecință, ea constată că Tribunalul a săvârșit o eroare de drept atunci când a considerat că WhatsApp nu poate fi vizată în mod direct de decizia în litigiu pentru motivul că aceasta din urmă nu ar avea un caracter opozabil față de WhatsApp și nu ar constitui ultima etapă a procedurii prevăzute de RGPD.

În acest context, Curtea amintește astfel că condiția potrivit căreia o persoană fizică sau juridică trebuie să fie vizată direct de decizia care face obiectul acțiunii sale impune îndeplinirea a două condiții cumulative, și anume ca măsura contestată, pe de o parte, să aibă un efect direct asupra situației juridice a acestei persoane și, pe de altă parte, să nu lase nicio putere de apreciere destinatarilor care sunt însărcinați cu punerea sa în aplicare.

În ceea ce privește respectarea primei condiții, Curtea arată că trebuie să se aprecieze dacă actul atacat este sursa unei modificări distincte a situației reclamantului, prin luarea în considerare a substanței acestui act și prin aprecierea efectelor acestuia în raport cu criterii obiective. În speță, Curtea constată că, întrucât Comitetul a decis printre altele că WhatsApp nu a respectat anumite dispoziții ale RGPD, decizia în litigiu modifică situația juridică a respectivei întreprinderi, acesteia impunându‑i-se în special, ca urmare a intervenției Comitetului, să își modifice raportul contractual cu utilizatorii serviciului de mesagerie furnizat de ea. Prin urmare, există o legătură directă între decizia amintită și efectele sale asupra situației WhatsApp.

În ceea ce privește a doua condiție, Curtea precizează că existența unei marje de apreciere trebuie înlăturată în special dacă se stabilește că dispozițiile actului care sunt vizate de acțiune au avut drept consecință directă supunerea acestei persoane unor obligații al căror rezultat nu putea fi modificat de entitatea însărcinată cu punerea în aplicare ulterioară a acestui act. În acest context, Curtea amintește că decizia în litigiu este obligatorie pentru autoritatea de supraveghere principală și pentru autoritățile de supraveghere vizate, acestea neputând să se îndepărteze de poziția reținută de Comitet în respectiva decizie. Astfel, decizia menționată soluționează problemele de drept care fac obiectul sesizării sale și leagă în mod necondiționat aceste autorități, în ceea ce privește în special constatarea încălcării anumitor dispoziții ale RGPD, calificarea datelor supuse unei comprimări cu pierdere drept date cu caracter personal, precum și obligația de a majora cuantumul amenzilor preconizate. Autoritățile menționate nu au posibilitatea de a modifica rezultatul aprecierilor efectuate de Comitet referitor la aceste chestiuni.

Curtea adaugă că, în acest context, este irelevant că domeniul de aplicare al deciziei finale se extinde la chestiuni care nu țin de sesizarea Comitetului, și anume la aspecte care nu au făcut obiectul unor obiecții pertinente și motivate sau la chestiuni care nu țin de competența acestui organ, cum ar fi printre altele stabilirea cuantumului precis al amenzii care trebuie aplicată operatorului sau unei persoane împuternicite de operator, care revine în sarcina autorității de supraveghere sesizate în temeiul RGPD.

În sfârșit, Curtea observă că, deși există, desigur, un raport de interdependență între decizia în litigiu și decizia finală, nu este mai puțin adevărat că acestea constituie acte distincte și că domeniul de aplicare al deciziei în litigiu este bine delimitat. În aceste condiții, acest raport de interdependență nu este de natură să se opună constatării că WhatsApp este vizată în mod direct de decizia în litigiu.

Curtea arată că, deși introducerea simultană a unei acțiuni în anulare în fața instanței Uniunii, în temeiul articolului 263 TFUE, în privința deciziei obligatorii a Comitetului, și în fața instanței naționale, în privința deciziei finale adoptate de autoritatea națională de supraveghere, conduce, desigur, la două proceduri paralele, această situație nu are drept consecință că ar trebui să se considere că efectele deciziei Comitetului sunt indirecte, în speță, în raport cu WhatsApp. Astfel, pe de o parte, atunci când soluționarea litigiului pendinte în fața instanței naționale depinde de validitatea deciziei unui organ al Uniunii, din obligația de cooperare loială rezultă că, pentru a evita luarea unei decizii incompatibile cu cea a acestui organ, instanța națională ar trebui să suspende procedura până la pronunțarea de către instanțele Uniunii a unei decizii definitive cu privire la acțiunea în anulare, cu excepția cazului în care consideră că, în împrejurările cauzei, este justificat să fie adresată Curții o întrebare preliminară vizând validitatea deciziei organului menționat. Pe de altă parte, principiul bunei administrări a justiției poate justifica, în cazul sesizării concomitente a Tribunalului, în cadrul unei acțiuni în anulare, și a Curții, în cadrul unei trimiteri preliminare, suspendarea ( 6 ) de către Curte, dacă aceasta consideră adecvat, a procedurii aflate pe rolul său în beneficiul celei introduse în fața Tribunalului.

În consecință, Curtea concluzionează că WhatsApp este vizată în mod direct de decizia în litigiu.

Prin urmare, având în vedere erorile de drept săvârșite de Tribunal, Curtea anulează ordonanța atacată. În plus, Curtea constată că, întrucât condițiile consacrate la articolul 263 TFUE sunt îndeplinite și în lipsa oricărui alt motiv de inadmisibilitate, acțiunea în anulare formulată de WhatsApp este admisibilă. Totuși, întrucât litigiul nu este în stare de a fi judecat pe fond, Curtea trimite cauza Tribunalului pentru a se pronunța în această privință.

( 1 ) Ordonanța din 7 decembrie 2022, WhatsApp Ireland/Comitetul European pentru Protecția Datelor (T‑709/21, denumită în continuare „ordonanța atacată”, EU:T:2022:783).

( 2 ) Articolul 65 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

( 3 ) În conformitate cu articolul 56 alineatul (1) din RGPD, care conferă printre altele competența de a acționa autorității de supraveghere a sediului principal al operatorului în cazul prelucrării transfrontaliere efectuate de acesta din urmă.

( 4 ) În conformitate cu dispozițiile articolului 60 alineatul (4) și ale articolului 65 alineatul (1) litera (a) din RGPD.

( 5 ) Astfel cum se prevede la articolul 65 alineatul (5) a treia teză din RGPD.

( 6 ) În temeiul articolului 54 al treilea paragraf din Statutul Curții de Justiție a Uniunii Europene.